1. Subencargados
Son los proveedores que tratan datos personales por cuenta de Cronoria y, por tanto, por cuenta de las empresas cliente. Todos están sujetos a contrato con obligaciones equivalentes a las asumidas por Cronoria en el Acuerdo de Encargo.
| Proveedor | Servicio prestado | Datos tratados | Ubicación |
|---|---|---|---|
| IONOS Cloud, S.L.U. | Infraestructura de servidor en la que se alojan la aplicación, la base de datos, las copias de seguridad y el correo. La administración de los sistemas la realiza Cronoria; el proveedor presta la infraestructura y no gestiona la aplicación | Todos los datos alojados por las empresas cliente | España (EEE) |
| Functional Software, Inc. (Sentry) | Registro de errores del servicio, para detectar y corregir fallos | Datos técnicos del error: mensaje, traza y referencias internas de la operación afectada (por ejemplo, el identificador de la empresa o el del lote de datos). El contexto que acompaña a cada error se depura en el servidor antes de enviarlo: los campos que identifican a una persona —identificador de usuario, nombre, correo, teléfono, documento, IP, identificador de dispositivo, coordenadas y credenciales— se sustituyen por una marca. No se envían identificadores de trabajadores, contenido de fichajes ni justificantes | Almacenamiento en la Unión Europea. El proveedor está establecido en EE. UU. y puede acceder a los datos para prestar el servicio, al amparo de cláusulas contractuales tipo |
| Google LLC (Firebase Cloud Messaging) | Entrega de las notificaciones a los teléfonos Android. Es el único camino que ofrece el sistema operativo para que un aviso llegue a un aparato concreto | El testigo del dispositivo —un identificador que apunta a un teléfono— y el hecho de que se le ha enviado un aviso, con su instante. No se envía el contenido: el texto del aviso se queda en el servidor de Cronoria y lo carga la aplicación al abrirse, de modo que ni el nombre de la persona ni el asunto del aviso pasan por este proveedor | EE. UU. Transferencia amparada en la decisión de adecuación de la Comisión Europea de 10 de julio de 2023 (Marco de Privacidad de Datos UE-EE. UU.), en la que Google LLC está certificado, y en las cláusulas de sus propias condiciones de tratamiento de datos |
| Apple Inc. (Apple Push Notification service) | Entrega de las notificaciones a los iPhone y iPad. Igual que en el caso anterior, es el único camino que ofrece el sistema operativo | El testigo del dispositivo y el hecho del envío. Tampoco recibe el contenido, por la misma razón y con el mismo diseño | EE. UU. Transferencia amparada en la decisión de adecuación de 10 de julio de 2023, en la que Apple Inc. está certificada |
2. Terceros que actúan como responsables independientes
No son subencargados: determinan por sí mismos las finalidades y medios de sus tratamientos y aplican sus propias políticas. Cronoria no les transmite el registro de jornada. En los casos de mapa ni siquiera hay comunicación por parte de Cronoria: es el dispositivo de la persona usuaria el que se conecta.
Hasta la revisión del 13 de agosto de 2026 esta página afirmaba que Cronoria «no envía a Google ningún dato de trabajadores» y que a estos terceros no se les transmitía ningún dato de las personas registradas. Era inexacto: para entregar un aviso hay que darle al servicio del sistema operativo el testigo del aparato de esa persona. Se corrige aquí, se declaran los dos como encargados, y a la vez se ha cambiado el producto para que el contenido del aviso no salga del servidor. Se cuenta con este detalle porque una lista de subencargados que omite a uno deja sin efecto la autorización que la empresa cliente concede sobre «la lista vigente».
| Tercero | Actividad | Datos tratados | Ubicación |
|---|---|---|---|
| Gescomnet | Comercio de registro de la suscripción web: cobra con su propio terminal de pago y emite la factura. La relación con las entidades bancarias que autorizan y liquidan el cobro es suya, no de Cronoria | Datos de facturación de la empresa cliente: denominación, NIF, domicilio fiscal y correo de contacto. No accede a datos de los trabajadores | España (EEE) |
| Apple Inc. / Apple Distribution International | Distribución de la aplicación iOS, compras dentro de la aplicación y envío de notificaciones push | Los asociados a la cuenta Apple del usuario y al identificador de dispositivo para notificaciones. Cronoria no recibe los datos de pago | Irlanda y EE. UU., con las garantías propias de Apple |
| Google Ireland Ltd. / Google LLC | Distribución de la aplicación Android por Google Play y cobro de las suscripciones mediante Play Billing, con emisión de la factura por Google. Dentro del teléfono, los servicios de Google Play proporcionan además la posición del dispositivo al sistema operativo, el reconocimiento de actividad usado por la detección de inmovilidad y el lector de códigos QR de verificación | Los asociados a la cuenta de Google de quien compra. Cronoria no recibe los datos de pago: solo el identificador del pedido y el comprobante de compra. Las funciones del dispositivo se ejecutan en el propio teléfono bajo los permisos que concede la persona usuaria. En esta condición —tienda y cobro— Cronoria no le envía datos de trabajadores; sí lo hace, y consta declarado, en su condición de encargado para la entrega de notificaciones (tabla 1) | Irlanda y EE. UU., con las garantías propias de Google |
| OpenStreetMap Foundation | Imágenes de fondo de los mapas. Las descarga directamente el navegador o el teléfono de quien abre una pantalla con mapa (recorrido de un fichaje, eventos o editor del perímetro) | La dirección IP del dispositivo, la identificación de la aplicación y los cuadrantes de mapa solicitados, que revelan de forma aproximada la zona consultada. No recibe nombres, correos, identificadores de usuario ni las coordenadas registradas: el recorrido se dibuja encima, ya en el dispositivo | Reino Unido y red de distribución internacional. Entidad sin ánimo de lucro sujeta a su propia política de privacidad |
3. Transferencias internacionales
Los datos se almacenan íntegramente dentro del Espacio Económico Europeo. El alojamiento se presta en España y el registro técnico de errores, en la Unión Europea.
El proveedor del registro de errores está establecido en Estados Unidos y puede acceder a los datos almacenados en la Unión Europea para prestar el servicio. Ese acceso está amparado por un acuerdo de tratamiento con cláusulas contractuales tipo, sometido a la legislación irlandesa. El proveedor cuenta además con certificación del Data Privacy Framework y con auditorías SOC 2 e ISO 27001 vigentes, disponibles a petición.
Las actividades de Apple y de Google descritas en la sección 2 pueden implicar tratamiento fuera del EEE. Ambas actúan como responsables independientes y aplican sus propias garantías; Cronoria no les transmite datos de trabajadores.
La descarga de las imágenes del mapa sale del dispositivo de la persona usuaria hacia la infraestructura de OpenStreetMap, que está distribuida internacionalmente. No es una transferencia realizada por Cronoria —no se le comunica ningún dato— pero se hace constar porque la dirección IP del dispositivo llega a un tercero fuera del EEE.
Si en el futuro Cronoria incorporase un subencargado que trate datos fuera del EEE, se verificará previamente una base válida de transferencia y se reflejará en esta lista antes de su activación.
4. Cambios en la lista
Cronoria comunicará la incorporación o sustitución de subencargados con antelación razonable a través de esta página y, cuando el cambio pueda afectar de forma material al tratamiento, mediante aviso a la persona de contacto de la empresa cliente. El Cliente podrá oponerse por motivos fundados de protección de datos dentro del plazo comunicado, conforme al Acuerdo de Encargo.
5. Consultas
Para cualquier cuestión sobre esta lista o sobre las garantías aplicables a un proveedor concreto: privacidad@cronoria.com.